智能养老监护设备公司治理与内部控制报告【范文】

《智能养老监护设备公司治理与内部控制报告【范文】》由会员分享，可在线阅读，更多相关《智能养老监护设备公司治理与内部控制报告【范文】（80页珍藏版）》请在装配图网上搜索。

1、泓域/智能养老监护设备公司治理与内部控制报告智能养老监护设备公司治理与内部控制报告目录一、 公司治理与内部控制的区别3二、 公司治理与内部控制的联系4三、 内部控制的起源7四、 内部控制的演进9五、 产权理论23六、 交易成本理论25七、 风险应对策略28八、 风险应对概述38九、 内部控制目标的设定39十、 目标设定的含义42十一、 董事及其职责45十二、 独立董事及其职责50十三、 股东大会的召集及议事程序55十四、 股东大会决议56十五、 公司治理模式趋同论57十六、 公司治理与公司管理的关系63十七、 家族治理模式的产生65十八、 家族治理模式的评价67十九、 公司简介69公司合并资产

2、负债表主要数据70公司合并利润表主要数据71二十、 项目基本情况71二十一、 组织机构管理74劳动定员一览表74二十二、 项目风险分析76二十三、 项目风险对策78一、 公司治理与内部控制的区别1、两者的具体目标不同公司治理的目的是保证经济运行系统中的公平和效率，具体地说，就是在所有者（股东）、管理人和其他利益关系人之间建立起合乎公平和效率的经济机制。在这个机制之下，所有者必须提供企业生产经营所需要的基本资金，并享有对企业的最终控制权和剩余分配权；管理者必须尽责工作，不能利用职务之便侵害投资人的利益；企业在追求自身利益的同时不能损害其他利益关系人的权益。而内部控制的目的则是为了保证企业资产安全

3、、会计信息真实完整和经营效率的提高。2、两者的控制主体不同公司治理的主体是股东、董事会、经理层以及其他利益关系人（债权人、社区、政府），包括企业内、外部各有关方面；而内部控制的主体主要是董事会、经理层以及其他员工等，控制主体仅限于公司内部，而且控制重点主要集中于CEO及其之下的业务系统。3、两者所涉及的管理内容不同公司治理的管理内容主要涉及股东、董事会、监事会、总经理之间的委托代理合同关系、控制权的配置（股权结构安排）、剩余分配权的安排等；而内部控制的管理内容主要是环境控制、风险评估、控制活动、信息沟通、内部监督等。4、两者所使用的手段不同公司治理的手段主要有监督和激励两种；而内部控制的手段侧

4、重于职务分离、授权审批、会计系统、财产保护、全面预算、运营分析、绩效考评等控制措施。公司治理在管理思想上重视行为和动机的抑制与激励；而内部控制在管理思想上重视流程控制。5、两者所归属的法规体系不同公司治理的内容主要体现在公司法、证监会颁布的上市公司治理准则、交易所的上市公司治理规则以及企业章程之中；而内部控制则主要体现于会计法和五部委颁布的企业内部控制基本规范、内部控制配套指引以及企业内部控制制度之中。二、 公司治理与内部控制的联系公司治理和内部控制两者之间存在着很多相同点和大部分的相互交叉与重叠区域，在企业的管理实践中，两者存在着一定的关联性。具体在以下几个方面。（一）具有同源性公司治理与内

5、部控制都与现代公司两权分离所引发的代理问题密切相关。由于交易信息的不对称性，以及契约的不完备性直接导致了“委托代理问题”的出现，因而公司治理与内部控制在一定程度上来说具有同源性。两权分离之后，如果所有决策相关信息在委托代理双方之间的分布是均衡的，那么不论经营者与所有者的目标函数一致与否，经营者都不敢做出违背所有者利益的行为。然而现实的情况是信息双方总是处于不对称地位，委托人对代理人的行为、决策并不十分清楚，代理人的行为选择往往会偏离委托人的目标，甚至会严重损害委托人利益。因此，客观上要求有一整套相应的制度安排来解决这种利益冲突，公司治理便应运而生。而内部控制作为一种系统的制约机制，其产生根源同

6、样是所有者与经营者间、企业内部上下级间的信息不对称，当委托人授权代理人从事某项活动时，为了保证代理人的行为能够符合委托人利益最大化的要求，客观上就要求有相应的措施和手段来加以控制。公司治理的核心是要有效地解决在契约不完备时企业剩余控制权和剩余索取权的分配问题，而内部控制在本质上也是为了在节约交易费用的同时增强企业契约的完备性，进而保证企业剩余控制权和剩余索取权能实现最大化。在契约不完备的情况下，对企业控制权优化配置的共同追求，本身也说明了公司治理与内部控制具有同源性。（二）具有共同载体公司治理机制与内部控制制度作为一系列制度安排，要想发挥其作用就必须依附于一定的组织载体。脱离企业这个组织，公司

7、治理与内部控制就好比是“镜中花，水中月”，不论公司治理结构多么完善，也不管内部控制多么健全，都只是凭空而论，不能发挥实际作用，更谈不上实现企业的目标。从另外一个角度看，公司治理的完善与企业内部控制的加强也必须依靠会计信息这个共同载体。真实、完整、及时的会计信息既是实施内部控制的必要前提，也是公司治理发挥作用的基本条件；而只有公司治理机制有效，内部控制健全，才能保证会计信息的真实、完整和及时，两者相辅相成。总之，企业组织和会计信息是公司治理与内部控制的两个共有载体。组织为公司治理与内部控制提供了依附的实体，而会计信息则为依附在组织身上的两种制度安排提供了沟通和交流的平台。两者缺一不可，共同为公司

8、治理与内部控制的互动提供了先决条件。（三）存在着交叉区域首先，控制主体存在交叉性。公司治理的主体是“股东董事会总经理”委托代理链上的各个节点。如吴敬琏教授把公司治理结构定义为由所有者、董事会和高级管理人员组成的一种组织结构。其中董事会是核心，而内部控制的主体是“董事会总经理职能经理执行岗位”委托代理链中的节点，核心在于总经理。因此，董事会和总经理既是公司治理结构的主体，也是内部控制的主体。其次，适用对象的交叉性。在三种基本企业形式中，独资企业和合伙企业只有管理和控制问题，没有治理问题，因为其所有权与控制权通常是合一的。但是对公司制企业来说，公司治理和内部控制问题都存在，需要同时解决治理问题和控

9、制问题，并需要注意两者的有效对接。再次，总目标的一致性。两者的具体目标统一于企业目标之下，即最终实现企业价值最大化。内部控制的目标是公司治理结构目标的进一步延伸和具体化；公司治理结构所追求的公平和效率目标，是建立在内部控制的目标即信息真实、资产安全和效益提高基础上的。否则，在一个虚假信息泛滥、资产被盗严重、管理效率低下的企业中，去实现公司治理的目标无异于痴人说梦。最后，两者在内容上存在关联性。在公司治理结构三种权力的实施过程中，除了监督权主要由股东、监事会行使而独立于企业的业务系统外，决策权和执行权都要落实到具体的部门、岗位和个人，并通过内部控制制度加以规范和管理。三、 内部控制的起源在人类社

10、会经济发展的长河中，早已融入了内部控制的基本思想。根据史料记载，远在公元前3600年前的美索不达米亚文化时代，就存在着极简单的内部控制实践。例如，古埃及在法老统治时期，就设有监督官负责对全国各级机构和官吏是否忠实履行受托事项、财政收支记录是否准确无误等加以监督。但是，由于社会生产力处于手工劳动阶段，技术水平低下，交通不便，人与人之间社会联系的成本高、有效性低，经济组织和社会活动一般以家庭为基本单位进行，规模小、结构简单。因此，当时的管理是建立在个人观察、判断和直观基础上的传统经验管理，没有形成系统的管理理论，也不可能提出“内部控制”的概念，这一时期的内部控制实践仅仅是人们无意识的行为。15世纪

11、末，借贷复式记账法在意大利出现。自此开始对管理钱、财、物的不同岗位进行分离设立，并利用其钩稽关系进行交互核对。这种方法直到19世纪末期，都还一直被认为是保证所有钱物和账目正确无误的理想牵制方法。20世纪初期，西方资本主义经济得到了较大发展，股份有限公司的规模不断扩大，生产资料的所有者和经营者相互分离。一些企业在非常激烈的竞争中，逐步摸索出了一些组织、调节、制约和检查企业生产活动的办法，即按照人们的主观设想，建立内部牵制制度，以防范和揭露错误。这种设想认为，两个或两个以上的人或部门，无意识地犯同样错误的可能性很小；两个或两个以上的人或部门，有意识地合伙舞弊的可能性也大大低于单独一个人或一个部门舞

12、弊的可能性。这个时期的内部控制主要以差错防弊、保证资产安全为目的，以钱、财、物三分管为主要控制理念。按照这种设想建立起来的会计工作制度，就是内部牵制制度。从内容上看，内部牵制主要包括四项职能：实物牵制，如把保险柜的钥匙交给两个或者两个以上的人保管，这样如果不同时使用两把以上的钥匙，保险柜就无法打开；物理牵制，如仓库的门不按正确的程序操作就打不开，甚至还会自动报警；分权控制，如把每项业务都分别由不同的人或者部门去处理，以预防舞弊或者错误的发生；簿记控制，如定期将明细账和总账进行核对。作为一种管理制度，内部牵制几乎不涉及信息的真实性和工作效率的提高问题，因此，其范围和管理作用都比较有限。到20世纪

13、40年代末期，生产的社会化程度空前提高，所有权和经营权分离，股份有限公司迅速发展，市场竞争进一步加剧。为了在激烈的竞争中生存发展，企业迫切需要在管理上采用更为完善、有效的控制方法。为了适应股份日益分散的实际和保护社会公众投资者的利益，西方国家纷纷以法律的形式要求企业披露会计信息，这样对会计信息的真实性就提出了更高的要求。因此，传统的内部牵制制度已经无法满足上述企业管理和会计信息披露的需要，现代意义上的内部控制的产生已经成为一种必然。四、 内部控制的演进内部控制起源于内部牵制，其发展演进过程经历了内部控制制度、制度分野、内部控制结构、内部控制整体框架和企业风险管理框架5个阶段。（一）内部控制制度

14、1、内部会计控制概念的提出19291933年的世界性经济危机后，美国于1934年颁布了证券交易法，在证券交易法中首先提出了“内部会计控制”的概念。1936年，美国会计师协会在其发布的注册会计师对财务报表的审查公告中首次提出审计师在制定审计程序时，应审查企业的内部牵制和控制并且从财务审计的角度把内部控制定义为“保护公司现金和其他资产，检查账簿记录事务的准确性，而在公司内部采用的手段和方法”。这是第一次对内部控制进行定义，这里明确规定了内部控制只是作为“会计资料准确性”的保障措施。这反映了作为会计职业界对内部控制工作应解决问题的关注层面，与人们对“内部控制”的理解及当时内部控制的实务是有一定的差距

15、的。因此，这一定义未能为人们所广泛接受，也未引起会计职业界对内部控制应有的重视。2、夯实在评价内部控制基础上的抽样审计1939年1月，美国证券交易委员会对罗宾斯公司审计案做出了结论，指出当时的审计标准（即注册会计师对财务报表审查）是不适当的，审计方法的使用连表面的目的也达不到。这个结论促使美国注册会计师协会建立了审计程序委员会，并于1939年5月提出了名为审计程序的扩展的文件，对当时的审计程序做了修订，其中把强化内部控制制度审计作为主要内容。1941年，美国社会各界已普遍意识到企业内部控制的重要性，认为企业经营范围和规模的变化使得管理必须依靠大量的反映经济活动的分析资料和报告；健全的内部控制有

16、助于防止工作人员出现差错，减少发生不合规现象的可能性；审计部门在审计费用的严格限制下，如果不依靠客户的内部控制系统，那么对大部分企业进行审计是不可能的。在理论上明确了内部控制的主要目标是“防错纠弊”，没有内部控制的企业就不具备基本的审计条件，第一次把内部控制作为现代审计的一个必要前提。但是，有关内部控制至此尚未形成一个权威的定义。3、历史上第一个被广泛接受的内部控制权威定义1949年，美国注册会计师协会所属的审计程序委员会，在其公布的内部控制：一个协调的系统要素及其对管理层和独立公共会计师的重要性的研究报告中，对内部控制做了专门的定义。这个定义成为人类社会有史以来第一个被广泛接受的权威定义，内

17、部控制包括组织的计划和企业为了保护资产、检查会计数据的准确性和可靠性、提高经营效率以及促使遵循既定的管理方针等所采用的所有方法和措施。该报告是从企业经营管理的角度来定义内部控制的，内容不局限于与会计和财务部门直接有关的控制，还包括预算控制、成本控制、定期报告、统计分析、培训计划和内部审计以及技术与其他领域的经营活动，从理论上给出了内部控制的宽泛内涵。该定义得到了公司经理们的普遍赞同，也就是说，审计界给出的内部控制定义从当时管理者的角度来说也是适用的。然而，1949年美国注册会计师协会把内部控制定义为保证目标实现的方法和措施，这是一个理想化的概念，这个定义把内部控制看成万能的工具，即只要实施了内

18、部控制，目标就一定能实现。另外，在财务报表审计中，注册会计师应对内部控制检查到什么程度，该定义在这些方面提供的指导却很少，使得很多从业者对这个近乎无限的内部控制定义感到无所适从。（二）制度分野1、内部控制分为会计控制和管理控制审计界提出内部控制概念的目的是为了满足财务审计的需要，与管理人员对内部控制的理解不一致，因此，审计人员认为1949年的定义内容过于宽泛，超出了他们评价被审计单位所应承担的责任。迫于这种压力，也为了满足审计人员在审计中对内部控制进行检查的业务需要，美国注册会计师协会所属的审计程序委员会于1953年颁发了审计程序说明第19号，对内部控制定义做了正式修正，把内部控制分为会计控制

19、和管理控制，会计控制由组织计划和所有保护资产、保护会计记录可靠性或与此相关的方法和程序构成。会计控制包括授权与批准制度，记账、编制财务报表、保管财务资产等职务分离，财产的实物控制以及内部审计等控制。管理控制由组织计划和所有为提高经营效率、保证管理部门所制定的各项政策得到贯彻或与此直接有关的方法和程序构成。管理控制的方法和程序通常只与财务记录发生间接的关系，包括统计分析、时效研究、经营报告、雇员培训计划和质量控制等。把内部控制分为会计控制和管理控制，目的是为了明确注册会计师审查企业内部控制的范围。2、注册会计师应主要关注会计有关控制1963年，审计程序委员会在审计程序说明第33号中进一步指出，“

20、注册会计师应主要检查会计控制。”会计控制一般对财务记录产生直接的、重要的影响，审计人员必须对它做出评价。管理控制通常只对财务记录产生间接影响，因此审计人员可以不对其做评价，只是在足以影响财务记录可靠性时才予以审计。这次修正后的内部控制定义，大大缩小了注册会计师的责任范围，但对于“会计控制”的保护资产和保证财务记录可靠性仍然缺乏统一的认识。为了消除这种认识分歧带来的对审计责任问题的模糊认识，1972年，美国注册会计师协会对会计控制又提出并通过了一个较为严格的定义：会计控制是组织计划和所有与下面直接相关的方法和程序：保护资产，即在业务处理和固定资产处置过程中，保护资产免遭过失错误、故意致错或舞弊造

21、成的损失；保证对外界报告的财务资料的可靠性。3、对会计控制和管理控制的重新定义1973年的审计程序公告第1号对会计控制和管理控制再一次做了重新定义：“管理控制包括但不限于组织的计划以及与导致管理层批准交易的决策过程相关的程序和记录。交易的批准是一种直接和实现组织目标的责任相联系的管理职能，是对经济业务进行会计控制的起点。会计控制由组织的计划以及与保障资产和财务记录的可靠性相关，为以下各点提供合理保证而制定的程序和记录组成：经济业务的执行符合管理部门的一般授权或特殊授权的要求；经济业务的记录必须有利于按照公认会计原则或其他标准编制财务报表落实资产责任：只有在得到管理部门批准的情况下，才能接触资产

22、；按照适当的间隔期限，将财产的账面记录与实物资产进行对比，一经发现差异，应采取相应的补救措施。”值得注意的是，内部控制以交易为主要对象，使内部控制具有可操作性。与1949年的定义相比，这些定义过于消极，仅仅从财务审计的实际出发，范围过于狭隘，把过多的精力和目标放在了查错防弊上，人为地限制了内部控制理论与实践的发展，最终的结果是审计师与管理者对内部控制的认识和理解出现了分歧和差异，分化出了审计视角的内部控制和管理视角的内部控制，这一阶段即为制度分野阶段。（三）内部控制结构随着内部控制活动在实践中的运用，人们发现内部控制并非神丹妙药。20世纪70年代初，美国政府在对水门事件的调查中，发现某些公司为

23、了做成贸易和保持贸易关系，竞贿赂某些外国政府官员和政党。而为了掩盖这些不合法支出，他们往往伪造会计记录，或另设账外记录。有鉴于此，1977年后，美国政府就将“每个公司必须设计和建立有效的内部控制制度”以立法形式在反国外行贿法中予以颁布。这是第一次强制性地将建立内部控制制度纳入法律管辖的范围。同时，审计人员在短时间内，要对被审计单位的财务状况和经营情况做出正确评价，也需要依赖被审计单位相关的内部控制制度。否则，审计风险将难以控制。因此，审计与内部控制联系日趋紧密。1985年，反虚假财务报告委员会（通常称为Treadway委员会）成立，1987年，Treadway委员会提交了研究报告，在报告中指出

24、防止虚假财务报告需从报告产生的环境着手，即从最高管理当局开始；所有上市公司需保持良好内部控制，以发现和防范虚假财务报告行为。该委员会还建议，其赞助机构成立COSO委员会，专门研究内部控制问题。（四）内部控制整体框架20世纪90年代，随着美国财务破产事件发生概率的增加和财务舞弊调查的不断深入，内部控制研究取得了新的进展。1992年，COSO委员会提出内部控制一整体框架，并于1994年进行了修订。这就是著名的“COSO报告（简称COSO92）”，它被称为是最广泛认可的关于内部控制整体框架的国际标准。在COSO委员会出具这个报告之前，不同的人对内部控制有不同的见解，由于内部控制内涵的广泛性和多样性使

25、得难以对内部控制有一个公认的了解，这就造成了经商人员、立法者、监管机构和其他有关方的困惑，同时导致企业由于沟通有误和期望不同产生问题。所以COSO内部控制框架是建立在考虑管理层和其他方面的需求和期望的基础上，把对内部控制不同的概念整合到一个框架当中，从而达成对内部控制的共识，确定内部控制的构成要素，试图提供一个标准，无论公司规模大小、公众的还是私人的、营利的还是非营利的业务和企业，都可以参考此标准评估他们的控制系统及如何改进，从而帮助公司和企业管理层更好地控制组织的活动。1、内部控制定义与目标COSO认为“内部控制是由董事会、管理当局和其他职员实施的一个过程，旨在为经营的效率和效果、财务报告的

26、可靠性、相关法令的遵循提供合理保证”。内部控制服务于很多重要目标，人们要求越来越好的内部控制系统和内部控制的相关报告。内部控制也越来越被视为解决各种潜在问题的有效方法。COSO报告指出，内部控制是为实现以下三类目标提供合理保证的：经营的效率和效果、财务报告的可靠性、相关法令的遵循性。第一类目标针对企业的基本业务目标，包括业绩和盈利目标及资产的安全性；第二类目标关注于企业公开发布的财务报告，包括中期和简要财务报表；第三类目标涉及企业所适用的法律及法规的遵循。相互有别、又有交叉的分类满足了不同的需要，表明了不同执行人员的直接责任，此分类也便于区分从每一类内部控制中得到我们所期望的东西。达到这些目标

27、在很大程度上依赖于外部各方标准的设定，取决于企业如何控制其内部行为，但是经营目标的取得，并不完全在公司的控制范围之内，内部控制不能避免错误地判断或决定或者可能导致经营目标无法实现的外部事件。对于这些目标，内部控制系统只有在管理层和董事会在监督职责的范围内及时地指导公司向目标迈进的时候，才能提供合理的保证。内部控制是对企业的整个经营管理活动进行监督与控制的过程，企业的经营活动是永不停止的，企业的内部控制过程也因此不会停止。企业内部控制不是一项制度或一个机械的规定，而是一个发现问题、解决问题、发现新问题、解决新问题的循环往复的过程。2、内部控制因素内部控制包括5个互相关联的构成要素，它们来自管理层

28、经营企业的方式，并贯穿于管理过程之中。这些构成要素包括控制环境、风险评估、控制活动、信息与沟通和监控。（1）控制环境。所有业务的核心都是人员及他们开展经营所处，的环境，包括员工的诚实和职业道德、员工的胜任能力、董事会及监事会的参与、组织机构、权力和责任的规定等。它是由管理层倡导的一种正直、伦理道德风气、管理宗旨、经营方式和人力资源政策，使职员自觉管理其活动和履行他们的责任。管理部门应通过文字描述和范例以及采取相应的监控措施来影响全体职员，以提高他们的伦理道德水准。控制环境是所有事情赖以生存的基础。（2）风险评估。企业为实现其目的而确认分析相关风险，已构成进行风险管理的基础。通常风险来自经营环境

29、的变化、新员工聘用、采用新的信息系统、新技术的应用、企业改组、新会计方法的采用等。管理当局应对目标完成期间与企业相关的风险进行识别、预见，并采取相应避险的管理控制措施。风险评估应测定风险对货币项目及对会计主题形象或信誉方面的重要性、风险发生的概率、如何减轻风险至可以承受的水平。不过，内部控制只能防范风险，不能转嫁、承担、化解或分散风险。所以必须设定目标，整合销售、生产、营销、财务和其他活动，以便使组织协调一致地运行。（3）控制活动。控制活动是为实现内部控制目标提供合理保证而制定的各项政策、程序和规定，对所确认的风险采取必要措施，以保证单位目标实现的程序。它包括业绩评价、信息处理控制、实物控制、

30、职务分离等。（4）信息与沟通。围绕在这些活动周围的信息与沟通系统，能及时反馈各程序执行过程中遇到的问题，使员工能够获得和交换那些执行、管理和控制其经营活动所需要的信息，从而保证控制活动的正常运行。（5）监控。监控是为保证内部控制的适当性和有效性而进行的日常和定期监督、检查。根据内部控制具体实施的机制，内部控制通常又可以分为两个层面：第一个层面是企业的管理制度，又称为“管理控制系统”，它是建立在公司治理基础上，通过检查和改进有关管理政策和程序，有效控制企业运行，不断提高企业的经营效率和效益，实现投资人投入资本的保值增值；第二个层面是企业的会计制度，又称为“会计控制系统”，通过适当的业务权限设置和

31、授权、准确的会计记录、及时的实物盘点，以及公允的报告等程序和方法，保证企业经营和财务状况信息的可靠性，保障投资人财产安全。这一层内部控制制度可以认为是最具体的控制。因而会计信息的存在与有效传递，影响到控制制度有效性地发挥。（五）企业风险管理框架1、产生背景自COSO92发布以来，内部控制框架已经被世界上许多企业采用，但理论界和实务界也纷纷对该框架提出改进建议，认为其对风险强调不够，使得内部控制无法与企业风险管理相结合。因此，2001年，COSO开展了一个项目，委托普华永道开发一个对于管理当局评价和改进他们所在组织的风险管理的简便易行的框架。正是在开发这个框架的期间，2001年12月，美国能源巨

32、头安然公司突然申请破产保护，此后上市公司和证券公司丑闻不断，特别是2002年6月的世界通信公司会计丑闻事件，彻底打击了投资者对资本市场的信心。安然、环球电讯、世界通信、施乐等一批企业纷纷承认存在财务舞弊在国际资本市场上引起轩然大波，这些失败案例在很多方面值得深思。例如，管理层僭越控制、利益冲突、缺乏职责分离、透明度不足或欠缺、风险管理未加统一协调、董事会监督无效，以及会导致职能失调、渎职行为的薪酬结构失衡等，都会对企业产生影响。2、基本概念2003年，COSO发布了名为企业风险管理框架（草稿）的报告，来征求意见。2004年9月，COSO委员会在借鉴以往有关内部控制研究报告的基本精神的基础上，结

33、合萨班斯一奥克斯利法案在财务报告方面的具体要求，正式公布企业风险管理整体框架，简称ERM框架或COSO04。ERM框架在COSO92的基础上进行了适当的补充和拓展，主要包括概要、ERM的意义、框架概览、要素、局限性、相关责任等章节。该报告指出，企业风险管理是一个过程，由一个企业的董事管理当局和其他人员实施，应用于战略制定并贯穿于企业当中，旨在识别可能影响企业的潜在事项，并将风险控制在企业可接受范围之内，为企业目标的实现提供合理保证。这个定义反映了几个基本要素，它表明企业风险管理是：（1）一个过程，它持续地流动于主体之内；（2）由组织中各个层级的人员实施；（3）应用于战略制订；（4）贯穿于企业，

34、在各个层级和单元应用，还包括采取主体层级的风险组合观；（5）旨在识别一旦发生将会影响主体的潜在事项，并把风险控制在风险容量以内；（6）能够向一个主体的管理当局和董事会提供合理保证（7）力求实现一个或多个不同类型但相互交叉的目标。这个定义比较宽泛。它抓住了对于公司和其他组织如何管理风险至关重要的概念，为不同组织形式、行业和部门的应用提供了基础。第一，突出“企业”的重要性。内部控制是企业自己的事，是企业内部积极的需求，而非外部强加的压力，它直接关注特定主体既定目标的实现，并为界定企业风险管理的有效性提供了依据，这是对COSO92内部控制思想的重大突破；第二，突出“风险”的重要性。强调风险管理理念、

35、风险文化、风险偏好（风险承受度），用于制定战略之中，并贯穿于整个企业；第三，突出“管理”的重要性。实现从控制到管理的转变，引入战略观念，同时提升了董事会在战略决策中的地位和作用。3、基本框架企业风险管理包含四大目标、八个相互关联的构成要素以及贯穿于企业的各个层级和单元应用。在主体既定的使命或愿景范围内，管理当局制订战略目标、选择战略，并在企业内自上而下设定相应的目标。企业风险管理框架力求实现主体的战略、经营、报告和合规四种类型的目标。企业风险管理的构成要素来源于管理当局经营企业的方式，并与管理过程结合在一起，包括内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控。这8

36、个要素并不是简单的并列关系，它们之间存在着一定的逻辑关系，内部控制是企业风险管理的前提；从目标设定到事项识别、风险评估、风险应对、控制活动，是一个风险管理的过程；信息与沟通、监控是企业风险管理的基础。根据COSO的这份研究报告，内部控制的目标、要素与组织层级之间形成了一个相互作用、紧密相连的有机统一体系。同时，对内部控制的要素的进一步细分和充实，使内部控制与风险管理日益融合，拓展了内部控制。五、 产权理论根据交易费用经济学，如果两个企业之间存在高度专用性投资那么通过一体化就可以减少机会主义行为的危害。但是，为什么一个独立的企业主变成另一个企业的雇员之后，他的机会主义行为就会减少呢？或者说，一个

37、独立的企业主与一个雇员之间究竟有什么本质的差别呢？此外，交易费用经济学没有具体考察一体化的产权结构，如果两个企业都具有专用性资产，那么一体化后谁又该拥有企业的所有权呢？产权理论认为，交易费用经济学出现上述缺陷的根本原因在于，它没有给出一个关于一体化成本和收益的清晰解释，从而难以解释企业的规模问题。产权理论把对资产的剩余控制权定义为企业的所有权，强调了剩余控制权对兼并一方带来的收益和对被兼并一方带来的成本，建立了逻辑严密的由产权结构决定企业边界的数学模型，从而提出了企业一体化的理论。产权理论的研究逻辑可概括为：存在专用性投资的企业之间的契约是不完全的，这会影响各方的事前关系，因此应当设计某种最佳

38、产权结构来保证最大化的联合产出。最佳产权结构通常要求将企业的剩余控制权或所有权安排给投资重要的一方，或者投资不可或缺的一方。格罗斯曼和哈特把所有的契约权利分为两类：“具体权利”和“剩余权利”。所谓具体权利，就是契约中已经明确规定了的对物质资产的权利（对另一方来说就是责任），如利润分成比例、交货时间等。所谓剩余权利，就是初始契约中没有规定的所有对物质资产的权利，即“剩余控制权”。拥有剩余控制权的一方，可以按照任何不与先前的契约、惯例或法律相违背的方式决定资产的所有用法。哈特明确将剩余控制权等同于所有权，因为只有资产的所有者应该拥有剩余控制权。在不完全契约下，剩余控制权或所有权的配置，必定会影响当

39、事人的事前专用性投资激励，因此为了最小化对投资激励的扭曲后果，应当让某一方将剩余控制权购买过去。可见，产权理论运用“剩余控制权”概念来重新定义所有权，主要考察在特定交易费用导致契约不完全的情形下，如何确保当事人的事前专用性投资激励问题。由于现实世界的不确定性和契约第三方的不可证实性，缔约双方不可能签订穷尽所有可能情况的合约，一旦缔约后未预料到的情况发生，双方就需要重新谈判，就可能出现合约一方侵占另一方专用性投资利益的“敲竹杠”行为。当专用性投资方在事前预期到事后可能被“敲竹杠”时，就势必造成事前专用性投资激励不足和效率损失。为此，在不完全契约条件下，事前对契约规定之外的剩余控制权的配置至关重要

40、，这就要求实现剩余索取权与剩余控制权相匹配，即让资产的所有者拥有剩余控制权，这样，专用性投资激励不足与“敲竹杠”问题才能得到有效解决。六、 交易成本理论交易费用或称“交易成本”的概念最早是由科斯（1937）在其论文企业的性质中提出的。但科斯并没有对“交易费用”这一概念下定义，他只是对其做出了描述性分析。科斯认为，市场价格机制的运转是有代价的，市场交易存在着成本，这种成本包括发现交易对象、发现相对价格、讨价还价、订立契约以及执行契约等所发生的费用。“通过形成一个组织，并允许某个权威（一个企业家）来支配资源，就能节约某些市场运行成本。”企业作为市场的替代物，是一种不同于市场的资源配置机制，这正是企

41、业的本质。但是，企业不能完全替代市场，企业内部交易也存在成本，企业降低交易成本的能力是有限的。（一）资产专用性、交易频率和不确定性是交易（契约）属性的三个基本维度追随科斯的交易费用思想，威廉姆森在其代表作资本主义经济制度一书中引入了刻画交易（契约）属性的资产专用性、交易频率和不确定性三个基本维度，尤其是对资产专用性属性的重视，极大拓展了科斯的交易费用思想，使其成为“交易费用经济学”的集大成者。交易费用经济学的逻辑思路是把每种交易都视为不同的契约，拥有不同的属性，进而由不同属性的契约引申出需要不同的治理结构或机制安排，来最大限度地节约交易费用，其研究的逻辑可用“交易一契约一治理结构机制”来概括。

42、资产专用性的程度可以分为绝对专用、非专用和混合式三类。交易频率即交易的频繁程度，可分为一次性契约、偶然契约和经常性契约，主要从买方来定义。不确定性主要是指由于代理人的机会主义行为所导致的对未来情况的不可预测。一旦刻画交易的维度确定了，实际上就确定了交易费用的度量。依据交易属性的三个基本维度，借鉴麦克里尔的思路，威廉姆森将契约分为古典契约、新古典契约和关系契约三类，指出不存在资产专用性的契约属于古典契约，由市场治理；资产专用性程度很高、交易频繁且不确定性很高的契约属于某种关系契约，由企业治理；处于两者之间的属于新古典契约和另一种关系契约，由混合形式治理（三方治理或双方治理）。 （二）董事会是作为

43、保护股东投资的一种治理结构而存在的根据交易费用最小化的原则，不同性质的交易或契约分别与市场、混合形式或企业这三种不同的治理结构相匹配。威廉姆森指出公司的治理问题在于分析哪些“利益集团”应当进入董事会。他认，为，股东作为资金的供给者受制于两种风险：第一，他们提供的只是一般的购买力，但这种购买力可能会被挪用或吞食；第二，这些资金可以用来支持专用投资。尽管企业的其他专用投入品（如劳动力、原材料、中间产品）的供给者也会遇到第二种风险，但他们遇到的第一种风险通常只限于短期贷款风险。从风险承担的角度来看，股东承担的风险最大，因而需要发明出一种治理结构，使股权持有者把它作为抵制侵蚀、防止极其拙劣的管理的一种

44、手段。董事会作为保护投资者的一种手段，就这样应运而生了。可见，在交易费用经济学理论视域中，由于股东一旦与企业签约，其投资将成为企业的专有资金而无法直接从企业索回，并易受管理者机会主义行为的侵害，承担着公司盈亏的风险，而其他利益相关者（债权人、雇员和供应商等）都可以通过签订受法律保护的契约来得到约定的回报，因而，董事会是作为保护股东投资的一种治理结构而存在的。企业剩余分配应倾向于承担风险最大的股东，这样不仅能够保护投资人的利益，整体经济也将表现不俗。七、 风险应对策略风险应对的策略有风险规避、风险降低、风险分担和风险承受4类。（一）风险规避风险规避是指企业对超出风险承受度的风险，通过放弃或者停止

45、与该风险相关的业务活动以避免和减轻损失的策略。风险规避是各种风险管理技术中最简单、最为消极的一种。例如，一个经销家庭日用品的企业在其经销的产品有导致小儿麻痹症的情况出现时，决定终止这种经销活动，以免引致产品责任索赔案。企业通过中断风险源，将避免可能产生的潜在损失或不确定性，但企业同时失去了从风险源中获得收益的可能性。企业在采用规避方法来处理风险时必须考虑以下几个方面的因素。第一，风险要想真正避免也许不可能。对企业而言，有些基本风险如世界性的经济危机、能源危机等难以避免。第二，风险得以避免在经济上也许不适当。对某些风险即使可以避免，但就经济效益而言也许不合适。在成本和效益的比较分析下，如果企业避

46、免风险所花费的成本高于避免风险所产生的经济效益时，仍然采取避免风险的方法，经济上可谓不适当。第三，风险规避使企业失去了从中获益的可能性。第四，避免了某一风险可能产生另外新的风险，新风险产生的可能性和危害程度可能更甚于先前的风险。1、风险规避的适用范围当企业面临下列两种情况时最适合采用风险规避策略：某种特定风险导致的发生概率和产生损失程度相当大；应用其他风险处理技术的成本超过其产生的收益，采取风险规避法可以使企业所受损失为零。2、风险规避的方式（1）完全放弃，是指企业拒绝承担这种风险，根本不从事可能产生某些特定风险的活动。（2）中途放弃，是指企业在项目进行的过程中终止承担某种风险。例如，公司研发

47、一种新产品，在市场上试销后发现市场前景惨淡，于是中途停止这种产品的生产与上市，防止产生更大的新产品的开发风险。这种风险规避通常与环境的较大变化和风险因素的变动有关。由于发生了新的不利情况，经权衡后，认为得不偿失，故而放弃。（3）改变条件，是指改变生产活动的性质，改变生产流程或是工作方法等。其中，生产性质的改变属于根本的变化。简单的风险规避是一种最消极的风险处理办法，因为投资主体在放弃风险行为的同时，往往也放弃了潜在的目标收益。所以一般只有在以下情况才会采用这种方法：投资主体对风险极端厌恶；存在可实现同样目标的其他方案，其风险更低；投资主体无能力消除或转移风险；投资主体无能力承担该风险或承担风险

48、得不到足够的补偿。（二）风险降低风险降低是企业在权衡成本效益后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略。风险降低的目的是要降低风险发生的概率，或者减少风险造成的损失，或者两者兼而有之。风险降低可以积极改善风险的特性，使其能为企业所接受，而又使企业不丧失获利的机会。风险降低的方法一般与控制措施相衔接，包括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制和合同控制等。降低风险主要通过两种途径实现：风险预防和减少风险。其中，风险预防即采取各种措施防止风险事件的发生，做到事先防范，也就是消除或减少风险因素，以便降低

49、损失发生的概率。企业实行风险降低策略应符合成本效益原则。预防风险涉及一个现时成本与潜在损失比较的问题：若潜在损失远大于采取预防措施所支出的成本，就应采用预防风险手段。以兴修堤坝为例，虽然施工成本很高，但与洪水泛滥造成的巨大灾害相比，就显得微不足道。此外，还应考虑到一旦预防措施不成功，风险发生后应采取补救措施以减少损失，从而使风险损失最小化。人们从事的许多活动都面临着风险，对于那些厌恶风险者来说如何应付所面临的风险呢？有两种常用的办法可以降低可能发生的风险，这两种方法是多样化和获取更多的信息。1、多样化多样化是指在从事的活动将要面临风险的情况下，人们可以采取多样化的活动，以便降低风险。例如，投资

50、者可以以多种形式持有资产，以免持有单一化的资产发生风险；商品推销人员为了保证销售收入，可以同时推销多种商品，以免在只推销一种商品的情况下，一旦产品推销不出，发生一点收入也得不到的风险。2、获取更多的信息在不确定的情况下，消费者的决策是建立在有限信息基础之上的。如果消费者可以获得更多的信息，将会降低决策的风险。然而获得的信息不是没有代价的。例如，要想通过销售活动获得尽可能多的利润，商品销售人员必须进行市场调查与研究，以便获得较多的商品需求信息，减少决策的风险；要进行市场调查研究，就必须花费一定的费用。如果不亲自进行市场调查，而向他人购买信息，也可以减少决策的风险。这说明信息是有价值的。（三）风险

51、分担风险分担是指企业准备借助他人的力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。风险分担是一种事前的风险管理措施，即在风险发生之前，通过各种交易活动，把可能发生的风险转移给其他人承担，避免承担全部风险损失。其主要措施包括业务分包、保险、出售、开脱责任合同以及合同中的转移责任条款。风险分担的方式主要可以分为财务型非保险转移、控制型非保险转移和保险转移。1、财务型非保险转移财务型非保险转移是指受补偿的人将风险所导致损失的财务负担转移给补偿的人（其中保险人除外）的一种风险管理技术。财务型非保险转移的实施方式主要有以下四种。（1）中和。中和是将损失机会与获利机会

52、平衡的一种方法，通常被用于处理投机风险。担心原材料价格变化的制造商所进行的套购，以及受外汇汇率变动影响的出口商进行的期货买卖都属于中和方法。所谓套购，就是通过买卖双方交易的相互约定，使可能的价格涨落损益彼此抵消。通常，商业机构、生产商、加工商和投资者利用期货价格和现货价格波动方向上的趋同性，通过在期货市场上买进或卖出与现货市场上方向相反但数量相同的商品，而把自身承受的价格风险转移给投机者，以达到现货与期货盈亏互补的目的。（2）免责约定。免责约定是指合同的一方通过合同条款，对合同中发生的对他人人身伤害和财产损失的责任转移给另一方承担，即通过主要针对其他事项的合同中的条款来实现风险转移。需要指出的

53、是，免责约定不同于责任保险。免责约定所转移的风险其受让人而不是保险人，而且所提到的财产损失责任是以合同责任下的损失为限的。（3）保证合同。保证合同是指由保证人对被保证人因其行为不忠实或不履行某种明确的义务而导致权利人损失予以赔偿的一种书面合同。这里有保证人、被保证人和权利人三方当事人，借助保证书，权利人可将被保证人违约的风险转移给保证人。保证的目的在于担保被保证人对权利人的忠实和有关义务的履行，否则由保证人赔偿损失。保证书通常用于以下“明确的义务”：清偿债务，在规定的期限内提供一定数量的产品，按要求的日期完成一项工程等。如果被保证人没有履行义务，保证人必须自己履行这项义务，或者按保证书的规定支

54、付一定的罚金。然后，保证人可以向被保证人追偿其损失。有时，保证人在签发保证书时，要求被保证人用现金或政府债券等作为担保物，以备自己索赔。即使被保证人得不到任何保障，他们也要签署这种保证书。需要指出，保证书不同于保险合同（尤指财产保险合同），其差别如下。保证书的当事人有三方，即保证人、被保证人和权利人，而保险合同一般只有两方，即保险人和投保人（被保险人）。保证书中，被保证人通常得到担保并付出担保费，而权利人得到保障（不过，有时被保证人可通过成本包括在所提供的服务的价格里，而将这种成本转移给权利人），而被保险人则通常是购买保险来保障自己。保证书中的损失有可能是由被保证人故意引起的，而保险损失对被保

55、险人而言则必须是意外的。理想状况下，保证书中的担保不会有损失。因为如果有任何损失的可能性，保证人就不会签署这种保证书，况且保证人自己会在调查中发现潜在的损失。而保险人则清楚地知道在被保险的群体中间会有一些损失一期望损失值。理想状况下，保证书的担保费不应该包括任何期望损失作为备抵，所以这种担保费只需包括保证人的调查费和其他费用，并提供一定的利润和一定的意外准备金。而保险费则必须补偿期望损失。在实践中，保证人也会发生一些损失，因为他们的调查并不完全准确，但这样的损失在担保费中所占的比例远低于在保险费中所占的比例。如果损失确实发生，保证人可以向被保证人求得补偿，但保险人对于被保险人则没有这种权利。尽

56、管如此，有些保证书与保险合同极为相似，例如诚实保证。实践中，许多保证书的保证人是保险（4）公司化。有的企业通过发行公司股票，将企业经营的风险转移给多数股东承担。这种转移实际上只是分散了原有股东的风险，增强了企业抵抗风险的能力，并不能转移企业遇到的具体风险。2、控制型非保险风险转移控制型非保险风险转移是指借助减低风险单位的损失频率和缩小其损失幅度的手段将损失的法律责任转移给非保险业的另一经济单位的管理技术。控制型非保险风险转移的具体形式有以下3种。（1）出售或租赁。通过买、卖契约将风险单位转移给他人或其他单位。这一方式的特点是将财产所有权和与之有关的风险同时转移给受让人。如一批货物，从工厂主转移

57、给买主后，与这批货物有关的风险（可能遭受火灾、盗窃、市场价格暴跌等）也一同转移给买主了。（2）分包。转让人通过分包合同，将他认为风险较大的工程转移给非保险业的其他人。显然，风险单位通过风险转移，其承担的风险将会减少。例如，对于一般的建筑施工队来说，高空作业风险较大，因此，他们可将风险大的高空作业转移给专业的高空作业工程队。对这种专业工程队来说，他们无论在经验、设备、技术等各方面都较强，故相对来说，风险较小。（3）开脱责任合同。通过这种合同，风险承受者免除转移者对承受者承受损失的责任。如外科医生在给病人动手术之前，往往要求病人（或家属）签字同意，若手术不成功，医生不负责任。在这份契约中，风险承受

58、者（病人）免除了转移者（医生）对承受者（病人）承受损失的法律责任，在这种形式中，通过开脱责任合同，风险本身被消除了。控制型风险转移与风险回避所不同的是，风险回避是放弃或中止存在的风险单位，而此风险转移技术容许风险单位继续存在，然而将损失的法律责任转移给自己以外的第三者（保险业除外）。控制型风险转移与损失控制不同的是，损失控制直接对风险所致的损失频率和幅度加以改善，而此风险转移技术将风险转移给别人而间接达成减低损失频率和减小损失幅度的目的。3、保险转移保险是指投保人根据合同约定，向保险人支付保险费，保险人对于合同约定的可能发生的事故因其发生所造成的财产损失承担赔偿保险金责任，或者当被保险人死亡、

59、伤残、疾病或者达到合同约定的年龄、期限时承担给付保险金责任的商业保险行为。采用保险方式，一方面，风险转移到保险公司之前，投保人必须履行其义务，有责任缴纳保险金。另一方面，当损失出现时，保险公司将会代替投保人承受因风险变化所带来的损失。（四）风险承受风险承受是指企业对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。风险承受的前提是自留风险可能导致的损失比转移风险所需要的费用小。风险承受是最省事的风险规避方法，在许多情况下也是最省钱的。但企业也应考虑到，若仅从降低成本、节省费用出发，将风险承受作为一种主动积极的方式应用时，可能会由于风险意外扩大，而使企业面临

60、严重的损失后果。八、 风险应对概述我国企业内部控制基本规范第二十五条规定：企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略。企业应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。风险应对就是在风险评估的基础上，针对企业所存在的风险因素，根据风险评估的原则和标准，运用现代科学技术知识和风险管理方面的理论与方法，提出各种风险解决方案，经过分析论证与评价从中选择最优方案并予以实施，来达到降低风险目的的过程。风险应对可以从改变风险后果的性质、风险发生的概率和风险后果3个方面提出多种策略，

61、对不同的风险可用不同的处置方法和策略。企业所面临的各种风险都可以综合运用各种策略进行处理。企业内部控制基本规范第二十六条规定：企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。九、 内部控制目标的设定（一）制订战略目标企业的战略目标一般是稳定的，但与其相关的业务层面的目标具有动态性，会随着内部和外部的条件而调整。在企业风险管理目标的设计过程中，首先要确定企业层面的目标，即战略目标。战略目标需要通过董事会及员工的相互沟通后确定，同时还要有支持其实现的资金预算及战略计划。战略目标的制订需要经过如下5个阶段。（1）明确企业发展目标。企业在长期规划中应明确自身

62、的发展目标和发展方向，通过培训、发放宣传手册、领导讲话等方式将企业层面的目标清晰地传达给员工。（2）制订实现目标的战略规划。企业通过SWOT分析，在了解自身的优势、劣势、机会和威胁的基础上制订帮助企业实现目标的战略规划。（3）制订年度计划及资金预算。企业根据制订的中长期战略规划，编制年度经营计划。该年度经营计划应符合企业中长期战略规划的效益目标、投资方向和投资结构。（4）企业编制年度预算。企业应按照上下结合、分级编制、逐级汇总的原则编制全面预算，将战略目标进一步分解、细化与落实。（5）企业编制企业预算管理办法，明确编制预算的基本原则、内容、编制依据等。（二）确定业务层面目标业务层面目标包括合规

63、目标、资产目标、报告目标和经营目标它来自企业战略目标及战略规划，并制约或促进企业战略目标的实现。业务层面的目标应具体并具有可衡量性，并且与重要业务流程密切相关。业务层面目标的制订需要经过如下四个阶段。（1）设定业务层面目标。企业的总目标及战略目标规划为业务层面目标的设定指明了方向，业务层面根据自身的实际情况及总体目标的要求提出本单位的目标，通过上下不断沟通最终确定。（2）根据企业的发展变化，定期更新业务活动的目标。（3）配置资源以保证业务层面目标的顺利实现。企业在确定各业务单位的目标之后，将人、财、物等资源合理分配下去，以保证各业务单位有实现其目标的资源。（4）分解业务目标并下达。企业确定业务

64、层面的目标后，再将其分解至各具体的业务活动中，明确相应岗位的目标。（三）合理确定风险承受能力为了合理地确定风险承受能力，在目标设定阶段，企业必须解决以下3个基本问题。（1）风险偏好。风险偏好是指企业在实现其目标的过程中愿意接受的风险程度。可以采用定性和定量两种方法对风险偏好加以度量。风险偏好与企业的战略直接相关，在战略制定阶段，企业应进行风险管理，考虑将该战略的既定收益与企业的风险偏好结合起来，目的是帮助企业的管理者在不同的战略之间选择与企业的风险偏好相一致的战略。（2）风险容忍度。风险容忍度是指在企业目标实现的过程中对差异的可接受程度，是企业在风险偏好的基础上设定的对相关目标实现过程中所出现

65、的差异的可容忍限度。企业风险管理（2016）将风险容忍度确定为可接受的绩效变动区间，该定义更加明确和可度量，有助于组织在给定绩效目标下量化可以承受的风险边界。（3）风险组合观。风险管理要求企业管理者以风险组合的观点看待风险，对相关的风险进行识别并采取措施，以使企业所承受的风险在风险偏好的范围内。对企业内每个单位而言，其风险可能落在该单位的风险容忍度范围内，但从企业总体来看，总风险可以超过企业总体的风险偏好范围。因此，应以企业总体的风险组合的观点看待风险。十、 目标设定的含义我国内部控制基本规范第二十条规定，企业应当根据设定的控制目标，全面、系统、持续地收集相关信息，结合实际情况，及时进行风险评估。目标设定是风险识别、风